pam-util,libaudit-util: strip "lib" prefix from dlopen "feature" field

As per our usual coding style.

pam-util: fix build without PAM

Follow-up for 882c9ce0402ec6e37201628a9a361500ff39b1ed
Prompted by #39077

Note that HAVE_PAM ifdeffery in pam-util.c is removed,
since its build as a whole is conditioned out if
!HAVE_PAM in shared/meson.build.

libaudit-util: fix build with audit disabled

```
In file included from ../src/test/test-dlopen-so.c:21:
../src/test/test-dlopen-so.c: In function ‘run’:
../src/test/test-dlopen-so.c:53:23: error: implicit declaration of function ‘dlopen_libaudit’; did you mean ‘dlopen_libfido2’? [-Werror=implicit-function-declaration]
   53 |         ASSERT_DLOPEN(dlopen_libaudit, HAVE_AUDIT);
      |                       ^~~~~~~~~~~~~~~
../src/shared/tests.h:181:24: note: in definition of macro ‘ASSERT_OK’
  181 |                 typeof(expr) _result = (expr);                                                                  \
      |                        ^~~~
../src/test/test-dlopen-so.c:53:9: note: in expansion of macro ‘ASSERT_DLOPEN’
   53 |         ASSERT_DLOPEN(dlopen_libaudit, HAVE_AUDIT);
      |         ^~~~~~~~~~~~~
../src/test/test-dlopen-so.c:53:23: warning: nested extern declaration of ‘dlopen_libaudit’ [-Wnested-externs]
   53 |         ASSERT_DLOPEN(dlopen_libaudit, HAVE_AUDIT);
      |                       ^~~~~~~~~~~~~~~
../src/shared/tests.h:181:24: note: in definition of macro ‘ASSERT_OK’
  181 |                 typeof(expr) _result = (expr);                                                                  \
      |                        ^~~~
../src/test/test-dlopen-so.c:53:9: note: in expansion of macro ‘ASSERT_DLOPEN’
   53 |         ASSERT_DLOPEN(dlopen_libaudit, HAVE_AUDIT);
      |         ^~~~~~~~~~~~~

```

Follow-up for 4d8c5c657ae0829f93944a00302e7ce700913e54

pkgconf: expose variables for system-alloc-{uid,gid}-min

Expose variables for system-alloc-uid-min and system-alloc-gid-min
similar to the UID/GID ranges already exposed for the respective
maximums, and other UID/GID ranges.

nspawn: don't try to connect to D-Bus when it's not necessary (#39045)

`runtime_bus` is only used if `!arg_keep_unit`.

`system_bus` is additionally used if `arg_register`.

So for `!arg_register && arg_keep_unit`, none of them should be
necessary, and nspawn should be able to work without any D-Bus
connections.

Fixes https://github.com/systemd/systemd/issues/39044

Follow-up for f2f26f1527529b1ea7dcb0dba85456ac98800627

zsh-completion: add completion for `freeze`, `thaw`, `condstop`

man/systemd-notify: add a note on return value

The options `--booted` is compared with the command `systemctl
is-system-running`, but the return values have differnt meanings and it
is not a drop-in.

ptyfwd: reset tty when exiting

Let's do a "soft" reset of the TTY when a ptyfwd session ends. This is a
good idea, in order to reset changes to the scrolling window that code
inside the session might have made. A "soft" reset will undo this.

While we are at it, make sure to output the ansi sequences for this
*after* terminating any half-written line, as that is still somewhat
contents of the session, even if it's augmented.

glyph-util: add missing ascii represenations of some emojis

dissect-image: simplification

Follow-ups for recent changes to creds (#39040)

machine: fix crash on update from older than v258

UID entry in the machine state file is introduced in v258,
hence when a host is upgraded to v258, the field does not exist in the
file, thus the variable 'uid' is NULL.

Follow-up for 276d20018623ef14956ce87975be48da5de63f29.
Fixes #39061.

core/exec-credential: don't enable graceful for load_credential()

Follow-up for 4be269563db777bb30f2609b3d4f5180fe9e2d2a

This contradicts the logic described in commit msg.

core/exec-credential: log about errno

creds: uniformly use varlink error table

Follow-up for ffd4b3809681b940d7d1fb9bc64502306c0a3e7e

sd-device: use RET_GATHER() in device_tag_index() (#39053)

Replace manual error collection with RET_GATHER() macro.

meson: fix type in comment

As per https://github.com/systemd/systemd/pull/38999#discussion_r2363704203

pam: make libpam a dlopen() based dependency

core/manager: honor show_status_overridden in manager_watch_jobs_next_time()

Prompted by #39029

run: include sys/stat.h again

This partially reverts 9adb4685dffadb3991535a8d990ce35132b6d9a6.

For the case that sys/stat.h is not included indirectly by other headers.
Fixes the following error:
```
../src/run/run.c: In function 'fchown_to_capsule':
../src/run/run.c:2128:21: error: storage size of 'st' isn't known
 2128 |         struct stat st;
      |                     ^~
```

libaudit-util: fix typo

Follow-up for 4d8c5c657ae0829f93944a00302e7ce700913e54.

Various smaller tweaks to bootctl (#38996)

core: console status fixes (#39029)

small refactorings of the machine-credential code (#38982)

This is ultimately preparation for #38764, but makes a lot of sense on
its own.

bootctl: split out auto-enroll cert load code into function of its own

bootctl: output a more precise log message when updating existing EFI vars

bootctl: don't update $ESP/EFI/BOOTX64.EFI twice

We update BOOTX64.EFI explicitly once (because we know that it's the
main entry point of UEFI) and then a second time when we update
everything in $ESP/EFI/*.EFI. That's redundant and pretty ugly/confusing
in the log output. Hence exclude the file we already updated explicitly
from the 2nd run.

bootctl: downgrade messages about foreign EFI files

Given that we iterate through $ESP/EFI/BOOT/*.EFI these days this is a
pretty common case, hence it's not really noteworthy, hence downgrade
these log messages from LOG_NOTICE to LOG_INFO.

bootctl: split out varlink setup into a helper call of its own

bootctl: normalize some enum definitions

bootctl: use RET_GATHER() all over the place

bootctl: switch a few getenv() calls to secure_getenv()

Following the rule that we should always prefer the secure flavour over
the regular one unless there's a clear reason for the regular one, let's
switch this over. Better safe than sorry.

repart: some smaller tweaks (#38995)

dlopen() libaudit (#38998)

Split out of #38861

core: fix status output suppression

This fixes two things: first of all it ensures we take the override
status output field properly into account, instead of going directly to
the regular one.

Moreover, it ensures that we bypass auto for both notice + emergency,
since both have the same "impact", and, don't limit this for notice
only.

unit: line-break overly long parameter list + add assert()

job: shorten code

machine-credential: add low-level machine_credential_add() as common back-end for machine_credential_set() + machine_credential_load()

machine-credential: replace machine_credentials_contains() by machine_credential_find()

machine-credential: include the high-level not the low-level string-util.h

repart: tweak byte value output

So far, when outputing information about copy progress we'd suppress the
digit after the dot if it is zero. That makes the progress bar a bit
"jumpy", because sometimes there are two more character cells used than
other times. Let's just always output one digit after the dot here
hence, to avoid this.

repart: add some line breaks

repart: never use a grain size below sector size

openssl-util: make openssl_load_private_key()'s ret_ui parameter optional

audit: shortcut some audit syscalls if we are compiled without audit support anyway

build: make libaudit dep dlopen()

core: Expose oom kills and managed oom kills as properties (#38906)

It can be useful for users to know this information so let's expose it
as properties so it can be queried.

tree-wide: Remove unused includes (#39023)

tree-wide: Remove unused includes

test: Add tests for systemd's kernel oom kill handling

core: Expose oom kills and managed oom kills as properties

It can be useful for users to know this information so let's expose
it as properties so it can be queried.

core: Use oom_group_kill attribute if OOMPolicy=kill

For managed oom kills, we check the user.oomd_ooms property which
reports how many times systemd-oomd recursively killed the entire
cgroup. For kernel OOM kills, we check the oom_kill property from
memory.events which reports how many processes were killed by the
kernel OOM killer in the corresponding cgroup and its child cgroups.
For units with Delegate=yes, this is problematic, becase OOM kills
in child cgroups that were handled by the delegated unit will still
be treated as unit OOM kills by systemd.

Specifically, if systemd is managing the delegated cgroup and
memory.oom.group=1 is set on both the service cgroup and the child
cgroup, if the child cgroup is OOM killed and this is handled by systemd
running inside the delegated units, when the unit exits later, it will
still be treated as oom-killed because oom_kill in memory.events will
contain the OOM kills that happened in the child cgroup.

To allow addressing this, the oom_group_kill property was added to the
memory.events and memory.events.local files which allows reading how many
times the entire cgroup was oom killed by the kernel if memory.oom.group=1.
If we read this from memory.events.local, we know how many times the unit's
entire cgroup (plus child cgroups) got oom killed by the kernel. This matches
what we report for systemd-oomd managed oom kills and avoids reporting the
unit as oom-killed if a child cgroup was oom killed by the kernel due to
having memory.oom.group=1 set on it.

Since this is only available from kernel 5.12 onwards, we fall back to
reading the oom_kill field from memory.events if the oom_group_kill property
is not available.

mkosi: Add stress-ng to sanitizer wrapper programs

man/varlink: fix typo

Follow-up for 04e2cb892878574b4e5715a22c2901c34762cff6.

man/repart: fix typo

Follow-up for 49dcc89ddc15651ebca8da7a13e5c5b08ec247cb.

creds-util: fix typo

Follow-up for 9be0a94b9848096ad465eb3fc76fa9adc7118ab6.

varlink: flag -> flags

Follow-up for 86fd19af1461bf407938dc69d2d0d4b54ac2c059.

docs: use '_' as separator for OSC page

Make it consistent with other pages

Fixes https://github.com/systemd/systemd/issues/39019

virt: revert to detect chroot by comparing with / rather than /proc/PID/root

This partially reverts d6267b9b18a30c81dd3335230ef71af04e1ea330

So, arch-chroot currently uses a rather cursed setup:
it sets up a PID namespace, but mounts /proc/ from the outside
into the chroot tree, and then call chroot(2), essentially
making it somewhere between chroot(8) and a full-blown
container. Hence, the PID dirs in /proc/ reveal the outer world.
The offending commit switched chroot detection to compare
/proc/1/root and /proc/OUR_PID/root, exhibiting the faulty behavior
where the mentioned environment now gets deemed to be non-chroot.

Now, this is very much an issue in arch-chroot. However,
if /proc/ is to be properly associated with the pidns,
then we'd treat it as a container and no longer a chroot.
Also, the previous logic feels more readable and more
honestly reported errors in proc_mounted(). Hence I opted
for reverting the change here. Still note that the culprit
(once again :/) lies in the arch-chroot's pidns impl, not
systemd.

Fixes https://gitlab.archlinux.org/archlinux/packaging/packages/systemd/-/issues/54

firewall-util: remove iptables/libiptc backend support (#38976)

This removes iptables/libiptc backend support in firewall-util, as
already announced by 5c68c51045c27d77b7afc211df7304a958d8cf24.
Then, this drops meaningless `FirewallContext` wrapper.

include: Add missing IWYU pragmas

tree-wide: Fix two curl warnings

various: port remaining users of setmntent() to libmount (#38929)

various tweaks for systemd-creds & related (#38979)

chase: tweaks to chase_open()/chase_openat() (#38984)

chattr-util/acl-util: add helpers that tells us if an inode type can do chattr/acl (#39003)

Split out of #38728 but I think this makes things more readable in
general and makes sense on its own.

importd: some minor tweaks (#39008)

importd: port to PidRef

fileio: modernize xopendirat() a bit

localectl: use XKB path specified from environment variable

firewall-util: rename firewall-util-nft.c to firewall-util.c

firewall-util: drop FirewallContext

After iptables support is dropped, FirewallContext is a trivial
wrapper of sd_netlink. Let's drop it and directly use sd_netlink.

sd-netlink: make netlink_get_reply_callback_count() accept NULL

firewall-util: remove iptables backend

As already announced by 5c68c51045c27d77b7afc211df7304a958d8cf24,
let's remove iptables backend of firewall-util through libiptc.

userdb: suppress creation of empty userdb dirs

units: add missing Documentation=

The initrd units are described in the graphs in the bootup manpage,
so use that one for them.

creds-util: don't reference superblocks when decrypting creds

core: if we cannot decode a TPM credential skip over it for ImportCredential=

let's skip over credentials we cannot decode when they are found with
ImportCredential=. When installing an OS on some disk and using that
disk on a different machine than assumed we'll otherwise end up with a
broken boot, because the credentials cannot be decoded when starting
systemd-firstboot. Let's handle this somewhat gracefully.

This leaves handling for LoadCredential=/SetCredential= as it is (i.e.
failure to decrypt results in service failure), because it is a lot more
explicit and focussed as opposed to ImportCredentials= which looks
everywhere, uses globs and so on and is hence very vague and unfocussed.

Fixes: #34740

creds: expose more errors as explicit varlink errors

creds-util: tweak error code generation in decrypt_credential_and_warn() a bit, and add a comment listing it

Let's make some specific condition more recognizable via error codes of
their own, and in particular remove confusion between EREMOTE as
returned by tpm2_unseal() and by us.

creds: modernize varlink server setup a bit

Let's make use of the userdata parameter of varlink_server_new(), and
split out the code into its own helper function.

acl-util: add new inode_type_can_acl() helper

chattr-util: add inode_type_can_chattr() helper

sd-varlink: two small additions (#38994)

mountfsd: add recognizable error if we pass an fd with unexpected flags

basic: validate timezones in get_timezones()

Depending on the packaging of tzdata, /usr/share/zoneinfo/tzdata.zi may
reference zones or links that are not actually present on the system.
E.g. on Debian and Ubuntu, there is a tzdata-legacy package that
contains "legacy" zones and links, but they are still referenced in
/usr/share/zoneinfo/tzdata.zi shipped by the main tzdata package.

Right now, get_timezoes() does not validate timezones when building the
list, which makes the following possible:

 $ timedatectl list-timezones | grep "US/Alaska"
 US/Alaska

 $ timedatectl set-timezone US/Alaska
 Failed to set time zone: Invalid or not installed time zone 'US/Alaska'

which feels buggy. Hence, simply validate timezones in get_timezones()
to avoid listing timezones that are not installed.

mountfsd: uncomment CapabilityBoundingSet= line

Since mountfsd was added in 702a52f4b5d49cce11e2adbc740deb3b644e2de0 the
caps bounding set line was commented. That's an accident. Fix that. (We
need to add a bunch of caps to the list).

units: explicitly reset TTY before running stuff on console

This adds TTYReset=yes to all units which run directly on the TTY. We
already had this in place for the gettys, but this adds it for the rest
that basically has StandardInput=tty + StandardOutput=tty set.

Originally, for these tools it wasn't necessary to reset the TTY,
because we after all already reset /dev/console very very early on once,
during PID1's early initialization, and hence there's no real reason to
do it again for these early boot services. But that's actually not
right, because since #36666 the TTY we reset from PID 1 is typically
/dev/console but the TTY those services are invoked on is typically the
resolved version of that, i.e. wherever that points. Now you might
think: if one is just an alias to the other, why does it matter to reset
this again? Well, because it's only a half-assed alias, and as it turns
out WIOCSWINSZ is not propagated from one to the other, i.e the terminal
dimesions we initialize for /dev/console don't propagate to whatever
that points to.

One option to address that would be to immediately propagate this down
ourselves (or to fix the kernel for it), but it felt safer to simply do
the reset again before the use, after all these one one-off services,
and there's no point in optimizing much here. Moreover, its probably
safer to give the guarantee that when the firstboot stuff (which after
all queries for pws to set) runs it definitely certainly guaranteed has
a properly reset terminal.

TODO: drop completed entry

codeql: taint setmntent() and getmntent()

mount-util: drop now unused _cleanup_endmntent_

remount-fs: port to libmount parser

remount-fs: minor coding style cleanups

cryptsetup: port from setmntent() to libmount parser

fstab-generator: port to libmount parser

TEST-81-GENERATORS: libmount disallows omitting fstype

It's not well-formed to begin with. And util-linux's mount(8)
is pretty much ubiquitously employed, hence it will be rejected
elsewhere too. Just stop pretending it is valid just because
glibc parser is sloppy.

systemd-boot-update.service & zsh: replace --no-variables with --variables= (#39011)

Bump required minimum version of libfido2 to 1.5.0 (#38975)

Major distributions already have libfido2 >= 1.12.0. Let's bump the
required minimum version to 1.5.0, which provides FIDO_ERR_UV_BLOCKED.

Note, libfido2 1.5.0 was released on 2020-09-01.

See also #38608.

btrfs-util: try unlinkat(AT_REMOVEDIR) before resorting to btrfs ioctls

An empty btrfs subvolume can always be removed without privs, hence try
to use unlinkat() first.

zsh: replace bootctl --no-variables with --variables=

bbeeea43625d22d2ab92b26ed93378acbad8ca66 replaced the option in bootctl.